Datenverkauf nach Insolvenz: Was Praxen aus dem Google-Spirit-Airlines-Fall lernen sollten
Der Verkauf von Mitarbeiter- und Passagierdaten der insolventen Spirit Airlines an Google zeigt eine Lücke, die auch für Arztpraxen und Kliniken relevant ist: Was geschieht mit sensiblen Daten, wenn eine Einrichtung insolvent wird?
Mit KI-Unterstützung erstellt · redaktionell geprüft und verantwortet von Steven Breuer.
Ein Fall aus den USA sollte auch deutschen Praxen und Kliniken zu denken geben. Nach der Insolvenz der Billigfluglinie Spirit Airlines hat Google für 10 Millionen US-Dollar interne Daten des Unternehmens gekauft – unter anderem 100 Millionen anonymisierte E-Mails und 500 Millionen Teams-Nachrichten, die als Trainingsdaten für KI-Modelle dienen sollen. Zu dem Datenpaket gehören laut Gerichtsunterlagen auch Lohn- und Gehaltsunterlagen, Personalakten und bestimmte Passagierdaten. Der US-Verband der Flugbegleiter AFA hat dagegen Einspruch beim Insolvenzgericht eingelegt, weil Mitarbeiterdaten deutlich vertraulicher seien als Kundendaten, aber rechtlich schlechter geschützt (heise online).
Der Fall spielt sich in den USA ab, wo Insolvenzverfahren anders geregelt sind als in Deutschland. Trotzdem lohnt sich der Blick darauf – denn die Grundfrage ist auch hierzulande ungeklärter, als man denkt: Was passiert mit Patienten- und Mitarbeiterdaten, wenn eine Praxis, ein MVZ oder eine Klinik insolvent geht?
Die Regellücke: Wer ist verantwortlich, wenn niemand mehr da ist?
Solange eine Praxis besteht, ist die Verantwortlichkeit klar geregelt: Der Praxisinhaber bzw. die Praxisinhaberin ist nach der DSGVO für den Schutz der Patientendaten verantwortlich, die ärztliche Schweigepflicht nach § 203 StGB gilt fort. Bei einer Insolvenz übernimmt der Insolvenzverwalter die Verfügungsgewalt über das Vermögen – dazu zählen auch Patientenakten, Abrechnungsdaten und IT-Systeme. Der Insolvenzverwalter ist zwar an die DSGVO gebunden, verfolgt aber in erster Linie das Ziel, aus der Insolvenzmasse möglichst viel Wert für die Gläubiger zu generieren. Genau das ist im Spirit-Airlines-Fall passiert: Der Insolvenzverwalter hat Daten verkauft, weil sie einen Vermögenswert darstellten.
In Deutschland ist der Verkauf von Patientendaten an Dritte zu Trainingszwecken durch die ärztliche Schweigepflicht deutlich enger begrenzt als bei einer Fluglinie. Dennoch zeigt der Fall zwei Schwachstellen, die auch bei uns real sind:
Erstens: Mitarbeiterdaten – Personalakten, interne Kommunikation, Dienstplanungs- und Beschwerdehistorien – genießen oft weniger Aufmerksamkeit als Patientendaten, obwohl sie ähnlich sensibel sein können. Die AFA weist zu Recht darauf hin, dass Verbraucherschutzregeln Verschwiegenheitspflichten innerhalb von Unternehmen nicht abdecken. Praxen, die mit Cloud-Kommunikationstools, Teams-Kanälen oder internen Chat-Systemen arbeiten, sollten sich fragen, wer im Insolvenzfall Zugriff auf diese Daten hätte.
Zweitens: Verträge mit IT-Dienstleistern und KI-Anbietern regeln in der Praxis häufig nur den Regelbetrieb, nicht aber den Sonderfall Insolvenz. Was passiert mit den in einer Praxisverwaltungssoftware, einem Dokumentationsassistenten oder einer KI-gestützten Diagnoseunterstützung gespeicherten Daten, wenn der Anbieter selbst insolvent wird? Gerät die Datenbank in die Insolvenzmasse und kann verkauft werden?
Was Praxen und Kliniken konkret prüfen sollten
- Auftragsverarbeitungsverträge (AVV) auf Insolvenzklauseln prüfen. Ein guter AVV sollte festlegen, dass im Insolvenzfall des Auftragsverarbeiters Patientendaten unverzüglich zu löschen oder an die verantwortliche Stelle zurückzugeben sind – nicht in eine Verwertungsmasse zu überführen.
- Löschkonzepte auch für den eigenen Insolvenzfall dokumentieren. Die Musterberufsordnung sieht Aufbewahrungsfristen von in der Regel zehn Jahren für Patientenunterlagen vor. Wer diese Pflicht kennt, sollte auch regeln, wie im Fall einer Praxisaufgabe oder -insolvenz die Übergabe oder Vernichtung der Daten rechtssicher erfolgt – etwa über eine Nachfolgepraxis oder die Landesärztekammer.
- Verträge mit KI- und Cloud-Anbietern auf Datenverwertungsrechte prüfen. Klauseln, die dem Anbieter erlauben, (auch anonymisierte) Nutzungsdaten für eigene Trainingszwecke zu verwenden, sollten kritisch hinterfragt werden – insbesondere im Hinblick darauf, was mit diesen Rechten geschieht, wenn der Anbieter selbst verkauft oder insolvent wird.
- Mitarbeiterdaten nicht als Nebensache behandeln. Interne Kommunikation, Personalakten und Beschwerdehistorien verdienen dieselbe Sorgfalt wie Patientendaten – gerade weil sie rechtlich oft schwächer geschützt sind.
Der Spirit-Airlines-Fall zeigt vor allem eines: Datenschutzarchitekturen sind meist auf den Regelbetrieb ausgelegt, nicht auf den Ausnahmefall. Für Praxen und Kliniken, die zunehmend digitale und KI-gestützte Systeme einsetzen, lohnt es sich, genau diesen Ausnahmefall einmal durchzudenken – bevor ein Insolvenzverwalter es für sie tut.